FJÄRDE ARBETSDOKUMENTET (A)

Europaparlamentet 2014-2019 Utskottet för medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor 11.3.2019 FJÄRDE ARBETSDOKUMENTET (A) om förslaget till förordning om europeiska utlämnandeorder och bevarandeorder för elektroniska bevis i straffrättsliga förfaranden (2018/0108(COD)) Förhållande till tredjelandslagstiftning Utskottet för medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor Föredragande: Birgit Sippel Medförfattare: Sophie in t Veld DT\1179237.docx PE636.343v01-00 Förenade i mångfalden

Inledning I detta arbetsdokument behandlas förhållandet mellan föreslagna europeiska utlämnandeorder (EPOC) samt europeiska bevarandeorder (EPOC-PR) och tredjelandslagstiftning. Till att börja med diskuteras det nuvarande sättet att hantera extraterritoriella framställningar genom avtal om ömsesidig rättslig hjälp. Därefter presenteras inledande överväganden avseende Förenta staternas lag US CLOUD Act, de förhandlingsdirektiv som kommissionen offentliggjort om ett avtal mellan EU och Förenta staterna om tillgång till elektroniska bevis och de potentiella konsekvenserna av det föreslagna instrumentet för elektroniska bevis. Slutligen bedöms de föreslagna artiklarna 15 och 16 i kommissionens förslag till förordning, varvid formerna anges för prövning i fall där skyldigheter på grundval av grundläggande rättigheter eller ett tredjelands grundläggande intressen (artikel 15) och andra skäl (artikel 16) hamnar i strid med varandra. I arbetsdokumentet kommer dessutom parlamentets överväganden avseende den nya artikel 16 såsom den föreslås i rådets allmänna riktlinje från december 2018 att anges. Avtal om ömsesidig rättslig hjälp Det nuvarande systemet för insamling och utbyte av elektronisk information mellan EU:s medlemsstater och tredjeländer grundar sig på ömsesidig rättslig hjälp, antingen från fall till fall, från en mer formaliserad bilateral utgångspunkt, eller inom ramen för internationella avtal (såsom Europarådets europeiska konvention om ömsesidig rättshjälp i brottmål och Europarådets konvention om it-brottslighet [Budapestkonventionen]), eller på grundval av avtal som EU ingått med tredjeländer (som Förenta staterna och Japan). För närvarande verkar huvudandelen av uppgiftsutbytet ske mellan EU och Förenta staterna. Därför kommer detta underlag att vara inriktat på det befintliga avtalet om ömsesidig rättslig hjälp mellan Europeiska unionen och Amerikas förenta stater (avtalet om ömsesidig rättslig hjälp mellan EU och USA), som undertecknades 2003 och som trädde i kraft 2010. Detta avtal ska i sig tillämpas utöver de bilaterala avtal om ömsesidig rättslig hjälp som medlemsstaterna ingått med Förenta staterna 1. I de fall då det inte föreligger något sådant avtal ska avtalet om ömsesidig rättslig hjälp mellan EU och USA tillämpas direkt på frågor om ömsesidig rättslig hjälp 2. Avtalets tillämpningsområde inskränker sig inte till straffrätt i sig, utan omfattar även administrativa förfaranden avseende utredning av beteenden som kan bli föremål för åtal 3. Instrumentet begränsar sig dock enbart till samarbete och ömsesidig 1 Dess bestämmelser ersätter vissa bilaterala bestämmelser, närmare bestämt vad gäller gemensamma utredningsgrupper, hörande via videokonferens, snabba kommunikationsmedel, hjälp till administrativa myndigheter, begränsningar av användningen av information, sekretess (artikel 3.1 i avtalet om ömsesidig rättslig hjälp mellan EU och USA). 2 Se artikel 3.2 i avtalet om ömsesidig rättslig hjälp mellan EU och USA. 3 Artikel 8 i avtalet om ömsesidig rättslig hjälp mellan EU och USA. En sådan utvidgning utgör även en del av de befintliga EU-interna instrumenten för ömsesidigt erkännande avseende insamling av bevis, till exempel artikel 4 b i direktiv 2014/41/EU ( vid förfaranden som har inletts av administrativa myndigheter med avseende på sådana gärningar som är straffbara enligt den utfärdande statens nationella lagstiftning genom att de utgör överträdelser av rättsregler, när beslutet kan leda till förfaranden inför en domstol som är behörig att handlägga brottmål ). Sådana bestämmelser används inom unionsrätten avseende insamling av bevisning i straffrättsliga förfaranden sedan konventionen om tillämpning av Schengenavtalet, via EU:s konvention om ömsesidig rättslig hjälp från 2000 och den europeiska bevisinhämtningsordern till den ovannämnda europeiska utredningsordern. Sådana bestämmelser är dock även problematiska då de innebär att straffrättsliga förfaranden utvidgas till administrativa myndigheter (med en annan nivå i fråga om garantier och skydd). Detta framgår tydligt av en skiljaktighet mellan å ena sidan EU:s interna instrument för ömsesidigt erkännande (inbegripet även en möjlig PE636.343v01-00 2/7 DT\1179237.docx

rättslig hjälp mellan statliga myndigheter. Privata parter utesluts uttryckligen från dess ansvarsområde 4. Avtalet om ömsesidig rättslig hjälp mellan EU och USA innehåller särskilda bestämmelser om identifiering av bankinformation 5, gemensamma utredningsgrupper 6, videokonferens 7, påskyndat översändande av framställningar 8, ömsesidig rättslig hjälp till administrativa myndigheter 9, begränsningar av användningen 10 och även begäran om sekretess 11. Enligt avtalet får den anmodade staten införa ytterligare villkor i ett särskilt fall och begära att den ansökande staten lämnar upplysning om hur bevismaterialet eller informationen användes. Den anmodade staten får dock inte införa allmänna begränsningar vad gäller den ansökande statens rättsliga standarder för behandling av personuppgifter 12. I enlighet med motiveringen till avtalet innebär detta att rättslig hjälp endast i undantagsfall får vägras [...] om vid en vägning av de viktiga intressen som berörs i ett särskilt fall (å ena sidan allmänintressen, inbegripet sund rättskipning, å andra sidan skydd av privatlivet) utlämnande av de särskilda uppgifter som begärs av den ansökande staten skulle ge upphov till svårigheter som är så grundläggande att den anmodade staten anser att de omfattas av vägran på grund av skydd av väsentliga intressen. En bred, kategorisk eller systematisk tillämpning av uppgiftsskyddsprincipen av den anmodade staten i syfte att vägra samarbete utesluts härmed. Det faktum att den ansökande och den anmodade staten har olika system för skydd av uppgifter [...] eller olika metoder för att skydda personuppgifter [...] får inte i sig införas som tilläggsvillkor enligt artikel 9.2 13. Vad gäller skäl till att vägra hjälp (förutom undantaget om förbud mot allmänna dataskyddsförbehåll och förbudet mot att åberopa ett krav på banksekretess) anges dessutom i artikel 13 ( icke-avvikelse ) att skälen till att vägra hjälp i enlighet med ett bilateralt avtal om ömsesidig rättslig hjälp är tillämpliga. Med andra ord gäller, i avsaknad av ett avtal, tillämpliga rättsliga principer som skäl till att vägra hjälp, också när verkställandet av framställningen skulle kunna skada den anmodade statens suveränitet, säkerhet, allmänna ordning eller andra väsentliga intressen. administrativ etapp avseende brott) och å andra sidan EU:s interna direktiv om harmonisering av processuella rättigheter (med tillämpning endast på etappen med ett straffrättsligt förfarande). 4 Artikel 3.5 i avtalet om ömsesidig rättslig hjälp mellan EU och USA. 5 Artikel 4 i avtalet om ömsesidig rättslig hjälp mellan EU och USA. Jämför med Förenta staternas lag FATCA (Foreign Account Tax Compliance Act) (som också grundar sig på extraterritoriella verkningar), enligt vilken det krävs att alla finansinstitut med hemvist utanför Förenta staterna ( utländska finansinstitut) ska genomsöka sina register efter kunder med indicier på status som Förenta staterna-person och rapportera till Förenta staternas myndigheter. 6 Artikel 5 i avtalet om ömsesidig rättslig hjälp mellan EU och USA. Med hjälp av sådana grupper kan även elektroniska bevis införskaffas lättare. När den gemensamma utredningsgruppen behöver vidta utredningsåtgärder i någon av de stater som inrättat gruppen, får en medlem av gruppen från den staten be sitt eget lands behöriga myndigheter genomföra dessa åtgärder utan att den andra staten eller de andra staterna behöver lämna in en framställning om ömsesidig rättslig hjälp. Den rättsliga standard som krävs för att få till stånd åtgärden i den staten ska vara den standard som tillämpas på inhemsk utredningsverksamhet. 7 Artikel 6 i avtalet om ömsesidig rättslig hjälp mellan EU och USA. 8 Artikel 7 i avtalet om ömsesidig rättslig hjälp mellan EU och USA. 9 Artikel 8 i avtalet om ömsesidig rättslig hjälp mellan EU och USA. 10 Artikel 9 i avtalet om ömsesidig rättslig hjälp mellan EU och USA. 11 Artikel 10 i avtalet om ömsesidig rättslig hjälp mellan EU och USA. 12 Artikel 9.2 i avtalet om ömsesidig rättslig hjälp mellan EU och USA. 13 Detta måste dock betraktas mot bakgrund av det senare antagna avtalet mellan EU och Förenta staterna från 2016 om skydd av personuppgifter ( paraplyavtalet ). DT\1179237.docx 3/7 PE636.343v01-00

Vad gäller verkningsfullheten hos nämnda avtal framgår det av kommissionens översyn från 2016 att avtalet är ganska användbart och framgångsrikt 14. Nivån i fråga om framställningar verkar dock variera avsevärt från medlemsstat till medlemsstat 15. Dessutom verkar en mycket stor andel av framställningarna, även om den uppsättning framställningar som nämns i kommissionens översyn omfattar alla typer av framställningar inom ramen för avtalet om ömsesidig rättslig hjälp mellan EU och USA, avse elektroniska bevis 16. Vad gäller elektroniska bevis måste, på grund av Förenta staternas standarder avseende sannolika skäl samt kravet på ett bemyndigande av domstol för att få tillgång till innehållsdata i Förenta staterna, framställningar om innehållsdata med nödvändighet utfärdas via ömsesidig rättslig hjälp. I linje med detta verkar sannolika skäl även utgöra en av de huvudsakliga anledningarna från amerikanskt håll till att avslå inkommande framställningar om innehållsdata, följt av frågor om proportionalitet (de minimis-regeln om vägran vid brott av mindre betydelse) och yttrandefrihet. Vad gäller transaktionsuppgifter (trafikuppgifter), liksom abonnent- och åtkomstuppgifter (inbegripet IP-adresser), som redan kan samlas in i Förenta staterna på grundval av administrativa stämningsdelgivningar, är dock standarden avseende sannolika skäl inte nödvändig och därför inte en anledning till att avslå inkommande framställningar 17. Ett framgångsrikt insamlande och utbyte av uppgifter via ömsesidig rättslig hjälp stöds dessutom av Eurojust, vilket visat sig vara till nytta i samband med tidigare framställningar om ömsesidig rättslig hjälp mellan EU och Förenta staterna 18. Vad gäller de två sistnämnda kategorierna, abonnent- och åtkomstuppgifter (inbegripet IP-adresser), måste det påpekas att de kan begäras direkt från tjänsteleverantörer i Förenta staterna på grundval av en framställning på brottsbekämpningsområdet från EU 19, vilket innebär att en begäran om ömsesidig rättslig hjälp bara skulle bli nödvändig om 14 På grundval av kommissionens översyn från 2016 enligt vad som föreskrivs i artikel 17 i avtalet. Se Outcome report, Seminar on the application of the Mutual Legal Assistance and extradition agreements between the European union and the United States of America, rådets dokument 9519/16, bilaga 3 (svar från 18 medlemsstater på kommissionens frågeformulär). Det riktas fler framställningar från EU till Förenta staterna än omvänt. Se även EU-US relations, Review of the 2010 EU-US MLA Agreement, rådets dokument 9291/16. Av arkivuppgifter från Förenta staterna framgår att något mer än 7 000 ärenden inleddes avseende framställningar om ömsesidig rättslig hjälp från EU-medlemsstater (för alla typer av bevis) mellan 2010 och 2014 (huvudsakligen från Grekland, Nederländerna, Förenade kungariket, Spanien och Portugal). Förenta staterna å sin sida översände omkring 2 000 framställningar under samma period (huvudsakligen till Nederländerna, Tyskland, Förenade kungariket och Frankrike). 15 Se även CEPS, Access to Electronic Data by Third-Country Law enforcement Authorities, 2015, s. 66 67. Under perioden 2010 2012 uppgick antalet framställningar till omkring 3 500 (för alla typer av åtgärder, inte bara elektroniska bevis). 16 Se EU-US relations, Review of the 2010 EU-US MLA Agreement, rådets dokument 9291/16, s. 6. 17 Se Outcome report, Seminar on the application of the Mutual Legal Assistance and extradition agreements between the European union and the United States of America, rådets dokument 9519/16, s. 2. 18 Med särskilt beaktande av Förenta staternas kontaktperson vid Eurojust och samarbetsavtalet mellan Eurojust och Förenta staterna. 19 Vissa medlemsstater har emellertid tagit upp frågan om möjliga problem med deras inhemska lagstiftning vad gäller godtagbarheten hos bevis. Det står inte helt klart vad dessa problem skulle bestå i, med beaktande av att det inhemska godkännandeförfarandet för uppgifterna måste följas, såsom bemyndigande av åklagare/domstol eller begränsningar i enlighet med deras egna inhemska lagstiftning. Också enligt unionsrätten, artikel 39 i direktiv 2016/680 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder ( polisdirektivet ), är överföringar till privata enheter (till exempel en leverantör i Förenta staterna) av framställningar som innehåller personuppgifter möjliga på vissa villkor. PE636.343v01-00 4/7 DT\1179237.docx

operatören vägrar att samarbeta frivilligt. Det verkar dock finnas vissa väl etablerade kanaler och förfaranden på plats för sådant samarbete mellan operatörer i Förenta staterna och EU:s medlemsstater 20, med lämpliga skydd, och det är sällan nödvändigt med efterföljande framställningar om ömsesidig rättslig hjälp. Följaktligen framstår behovet av eventuella nya instrument för abonnent-, åtkomst- och transaktionsuppgifter, åtminstone när det gäller de stora amerikanska leverantörerna, som tveksamt. Även om läget kan vara ett annat vad gäller framställningar om innehållsdata varnade Förenta staternas myndigheter själva för att inkommande framställningar från EU om ömsesidig rättslig hjälp avseende innehållsdata emellanåt var onödiga för den faktiska lagföringen av brottet i fråga 21. Dessutom skulle den ömsesidiga rättsliga hjälpen med Förenta staterna kunna förbättras redan genom en bättre tillämpning av de åtgärder som föreskrivs i avtalet. Med hjälp av gemensamma utredningsgrupper, som möjliggörs enligt artikel 5 i avtalet, kan inhemska medlemmar av sådana grupper begära åtgärder i enlighet med sina inhemska system. Vidare möjliggör artikel 7 i avtalet påskyndat översändande av framställningar, vilket innebär att snabba kommunikationsmedel såsom e-post och fax används, med en formell bekräftelse i efterhand. Kommissionen har påpekat att det nuvarande rättsliga samarbetet via ömsesidig rättslig hjälp, däribland med Förenta staterna, i genomsnitt tar tio månader och kan leda till oproportionerliga kostnader i fråga om resurser 22. Likväl framhölls i rekommendationerna om avtalet från 2016 23 bland annat bättre utbildning av personal som arbetar med frågor med anknytning till ömsesidig rättslig hjälp, utfärdande av riktlinjer (särskilda riktlinjer och en handbok har utfärdats i Förenta staterna 24 ) och ytterligare finansiering 25 som centrala frågor för att processen ska kunna förbättras och påskyndas. Frågan inställer sig därför huruvida nya instrument för direkt tillgång till elektroniska bevis är nödvändiga innan man tagit itu med 20 Se exempelvis Apples mycket detaljerade riktlinjer för rättsliga förfaranden vad gäller stater och brottsbekämpning utanför Förenta staterna med noggranna kontaktuppgifter och förfaranden (https://www.apple.com/legal/privacy/law-enforcement-guidelines-outside-us.pdf). De är inriktade på bevarande (t.ex. en möjlig tidsfrist för bevarande på 90 dagar som kan förlängas en gång), brådskande förfaranden och framställningar om information (såsom framställningar om ömsesidig rättslig hjälp avseende icke-innehållsdata), detaljerade regler avseende icloud (abonnentinformation och e-postloggar) etc. Dessutom framgår det exempelvis av uppgifter från Microsoft att huvudandelen av EU-staterna i stor utsträckning begär endast icke-innehållsdata och att andelen avslag är ganska låg för flertalet medlemsstater (t.ex. uppgick den genomsnittliga andelen avslag för EU-stater under första halvåret 2018 till 23 %, i ett spektrum från 3 % för Luxemburg till 65 % för Grekland). Se webbadressen https://www.microsoft.com/en-us/corporateresponsibility/lerr. Se även informationen om direkta framställningar till Google på webbadressen https://support.google.com/transparencyreport/answer/7381738?hl=en&ref_topic=7380433 21 Se Outcome report, Seminar on the application of the Mutual Legal Assistance and extradition agreements between the European union and the United States of America, rådets dokument 9519/16, s. 3. De amerikanska deltagarna konstaterade att innehållsdata ofta verkade efterfrågas rutinmässigt i framställningar om ömsesidig rättslig hjälp från EU:s medlemsstater och uppmärksammade det faktum att i synnerhet transaktionsuppgifter ofta kan ge tillräckligt med information för ändamålet med en utredning. Därför skulle det vara fördelaktigt att noggrant bedöma huruvida innehållsdata verkligen är nödvändigt, eller om icke-innehållsdata skulle vara tillräckligt, innan framställningar om ömsesidig rättslig hjälp utfärdas. 22 COM(2019)0070. 23 Rådets dokument 9291/16, s. 15 20. 24 Se t.ex. rådets dokument 8024/11. 25 Se t.ex. kommissionens inbjudan från 2017 att lämna förslag med en sammanlagd budget på 1 miljon euro på hur samarbetet skulle kunna förbättras mellan EU-medlemsstaternas rättsliga myndigheter och Förenta staternas rättsliga myndigheter samt tjänsteleverantörer med hemvist i Förenta staterna (inom ramen för partnerskapsinstrumentets årliga handlingsprogram 2016). DT\1179237.docx 5/7 PE636.343v01-00

nuvarande praxis vid rättsligt samarbete. Med andra ord: Består problemet i att det saknas ett instrument eller i att tjänsteleverantörerna inte tillhandahåller de begärda uppgifterna tillräckligt snabbt med hänsyn till utredningen? Eller består problemet i det faktum att de nationella rättsliga myndigheterna är för långsamma i sin hantering av framställningar från de nationella rättsliga myndigheter som begär uppgifter? Om de nationella regeringarna skulle bevilja de rättsliga myndigheter som hanterar framställningar om ömsesidig rättslig hjälp mer ekonomiska, personella och tekniska resurser skulle elektroniska bevis kunna tillhandahållas på ett mer tidseffektivt sätt. Behovet av ytterligare instrument, genom vilka en sida av de medverkande nationella myndigheterna helt enkelt avlägsnas från processen, skulle därigenom bli mindre överhängande. Vad gäller framställningar om elektroniska bevis rekommenderade man fortsättningsvis i översynen att överväga att införa olika strategier i förhållande till olika uppgiftskategorier, inbegripet införande av tydligare förfaranden för nödsituationer 26. US CLOUD Act 1. Presentation av lagen Genom Förenta staternas lag US CLOUD Act (US Clarifying Lawful Overseas Use of Data Act) 27 från 2018 ändrades lagen Electronic Communications Privacy Act (ECPA) om reglering av villkoren för statens åtkomst till och företags utlämnande av elektronisk kommunikation. Det främsta skälet till att CLOUD Act antogs var polemiken kring målet Förenta staterna mot Microsoft 28 avseende avsnitt 2703 i Stored Communications Act (avdelning II i ECPA) om frågan huruvida ECPA gav Förenta staternas brottsbekämpande myndigheter rätt eller inte att tvinga en leverantör att överlämna innehållsdata om kommunikation som lagras utanför Förenta staterna (i det konkreta fallet, e-postmeddelanden som lagrades på Irland). CLOUD Act i sig berör bara historiska (lagrade) uppgifter och är inte tillämplig på ingrepp i realtid. De planerade verkställande avtalen (se nedan) skulle dock kunna inbegripa en sådan möjlighet. 29 Genom CLOUD Act infördes två viktiga ändringar av denna lag. I del I innebär CLOUD Act ett tillägg av 2713, där det uppges att en leverantör av en elektronisk kommunikationstjänst eller fjärrbearbetningstjänst ska fullgöra skyldigheterna i detta kapitel, närmare bestämt att bevara, säkerhetskopiera och lämna ut innehållet i trådbunden eller elektronisk kommunikation och eventuella dokument eller eventuell annan information angående en kund eller abonnent som en sådan leverantör innehar, förvarar eller kontrollerar, oberoende av om sådan kommunikation, sådana dokument eller sådan annan information finns inom eller 26 Ibid., s. 19: Det har från Förenta staternas sida förekommit en informell praxis vad gäller tillhandahållande av elektroniska bevis (inbegripet innehållsdata) i nödsituationer som t.ex. vid överhängande risk för allvarlig skada eller dödsfall, bland annat vid fall av terrorism. Det normala förfarandet består i att EU-medlemsstaternas brottsbekämpande myndigheter etablerar kontakt med Förenta staternas myndigheter vilka, i sin tur, främjar internetleverantörers frivilliga tillhandahållande av det efterfrågade materialet i enlighet med Förenta staternas lagstiftning. Denna ordning har fungerat mycket väl och i de mest exceptionellt allvarliga och brådskande fallen har Förenta staterna bistått med att anskaffa bevis inom mindre än ett dygn. Enligt Förenta staternas lagstiftning fullgörs sådant frivilligt utlämnande i nödsituationer utan att det behövs en prövning av sannolika skäl. 27 H.R.1625. 28 United states mot Microsoft Corp., 138 S.Ct. 1186, 1187 (2018). 29 Se J. Daskal, Setting the record straight: The Cloud Act and the reach of wiretapping authority under US law, CBDF, 2018. PE636.343v01-00 6/7 DT\1179237.docx

utanför Förenta staterna. Följaktligen kan Förenta staternas brottsbekämpande organ med hjälp av CLOUD Act få tillgång till innehållsdata som finns lagrad utanför Förenta staterna, från tjänsteleverantörer som omfattas av Förenta staternas jurisdiktion. Alla tjänsteleverantörer, även icke-amerikanska, som har ett kontor i Förenta staterna är bundna av CLOUD Act. DT\1179237.docx 7/7 PE636.343v01-00